In einer großangelegten Cyber-Kampagne haben nordkoreanische Akteure weltweit 1.640 Unternehmen in 57 Ländern kompromittiert. Jüngste Erkenntnisse belegen, dass etwa 700 bis 800 dieser Organisationen von schwerwiegenden und „wirklich schädlichen“ Einbrüchen betroffen waren.
Die Angreifer erlangten dabei weitreichende Befugnisse, darunter Root-Zugriff auf Server, Cloud-Infrastrukturen bei Amazon Web Services (AWS) sowie Zugriff auf private Schlüssel für Blockchains.
Die Tragweite der Aktivitäten wurde durch eine langjährige Untersuchung des Sicherheitsforschers Vangelis Stykas vom Unternehmen Kumio öffentlich. Der Forscher verbrachte insgesamt 22 Monate innerhalb der von nordkoreanischen Hackern genutzten Systeme. Dabei identifizierte er eine Vielzahl namhafter Opfer, darunter das Boston Children’s Hospital, wobei hier speziell die Covid-19-Datenbank im Fokus stand, sowie die Krypto-Plattformen Coinbase und Uniswap Labs sowie den Elektronikhersteller Oppo.
Gezielte Täuschung von Entwicklern und Einsatz von KI
Ein zentrales Element der Angriffsstrategie ist die Verwendung gefälschter Jobangebote. Die nordkoreanischen Hacker nutzen diese Köder, um gezielt Softwareentwickler anzulocken. Das primäre Ziel dieser Operationen ist der Diebstahl von Kryptowährungs-Wallets. Sobald Entwickler auf die vermeintlichen Stellenanzeigen reagieren und schädliche Dateien ausführen, erhalten die Angreifer Zugriff auf sensible Finanzdaten.
Neben klassischen Social-Engineering-Methoden setzen nordkoreanische Gruppierungen wie Kimsuky seit Beginn des Jahres 2026 verstärkt auf künstliche Intelligenz. Durch den Einsatz von Offline-KI-Tools wie Ollama, GPT-4All und Msty erstellen die Akteure präzise Spear-Phishing-Dokumente. Experten wie Mark T. Hofmann weisen darauf hin, dass der Einsatz von KI die Hürden für Cyberkriminalität massiv senkt und die Qualität der Angriffsversuche erhöht.
Angesichts der zunehmenden Professionalisierung von Cyberangriffen durch KI-Tools müssen Unternehmen ihre Abwehrmechanismen dringend anpassen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und neuen Bedrohungsszenarien Unternehmer jetzt kennen müssen. Cyber-Risiken und neue KI-Gesetze verstehen
Technologische Aufrüstung durch die Lazarus-Gruppe
Parallel dazu wurde die Nutzung fortschrittlicher Malware durch die Lazarus-APT-Gruppe bekannt. Sicherheitsanalysten von Fox-IT, einem Teil der NCC Group, identifizierten einen dateilosen Fernzugriff-Trojaner (RAT) namens „RemotePE“. Diese Software agiert ausschließlich im Arbeitsspeicher des infizierten Systems, wodurch herkömmliche Erkennungsmechanismen umgangen werden.
Die Lazarus-Gruppe verwendet dabei eine dreistufige Werkzeugkette, bestehend aus dem DPAPILoader, dem RemotePELoader und der eigentlichen RemotePE-Malware. Ein charakteristisches Merkmal dieser Operationen ist die manuelle Freigabe von Schadcode durch menschliche Bediener. Diese Aktivitäten finden vorwiegend während der Tagesstunden der Zeitzone UTC+9 statt, was den regulären Arbeitszeiten in Nordkorea entspricht.
Da Hacker gezielt psychologische Schwachstellen ausnutzen, um Schadsoftware in Firmennetzwerke einzuschleusen, ist eine proaktive Aufklärung der Belegschaft unerlässlich. Erfahren Sie in diesem kostenlosen Anti-Phishing-Paket, wie Sie Ihr Unternehmen mit einer effektiven Awareness-Strategie in vier Schritten schützen können. Kostenlosen Anti-Phishing-Leitfaden herunterladen
Finanzielle Schäden und rechtliche Konsequenzen
Die wirtschaftlichen Folgen der nordkoreanischen Cyber-Aktivitäten sind immens. Schätzungen zufolge erbeuteten Hacker aus Pjöngjang allein im Jahr 2025 Kryptowährungen im Wert von über 2 Milliarden US-Dollar. Daten des Analyseunternehmens Chainalysis zufolge beläuft sich der Gesamtwert der seit 2017 gestohlenen digitalen Vermögenswerte auf etwa 6,75 Milliarden US-Dollar.
Angesichts dieser Verluste leiten betroffene Unternehmen zunehmend rechtliche Schritte ein. Die Kryptobörse Bybit hat eine Klage gegen Nordkorea und die Lazarus-Gruppe eingereicht, nachdem das Unternehmen durch einen Hack einen Verlust von 1,5 Milliarden US-Dollar erlitten hatte.
Bybit-CEO Ben Zhou bezeichnete den Vorfall als einen direkten Angriff auf das Vertrauen in die Branche. Zwar konnte Bybit eine Vermögenssperre erwirken, Experten stufen solche juristischen Schritte jedoch als weitgehend symbolisch ein, da die gestohlenen Gelder häufig über sogenannte Privacy-Coins gewaschen und somit dem Zugriff entzogen werden.
